Odkrivanje PLC ne uspe prek VPN? Pustite Ethernet pri stroju

Vaš gumb za odkrivanje se vrti v nedogled, ne najde ničesar, v zahtevku pa piše, da je stroj brez povezave. Stroj je v redu. To, s čimer orodje išče naprave v tem segmentu, ne preživi poti, ki mu je bila dana, in refleks je raztegniti Ethernet naročnika čez povezavo lokacije, da gumb spet deluje. Najprej ugotovite odvisnost. Večina orodij za vzdrževanje potrebuje pot; ko eno resnično potrebuje kabel, je trajen odgovor upravljani gostitelj ob stroju, ne premosteno omrežje med dvema zgradbama.

Zakaj odkrivanje umre na robu usmerjenega tunela

Usmerjeni tunel prenaša pakete unicast med podomrežji. Okviri oddajanja in multicast ostanejo v eni domeni oddajanja, končna točka VPN pa je točno tam, kjer se ta domena konča. Orodje, ki najde naprave tako, da v segment vpije, dobi tišino, ker krik ni bil nikoli posredovan.

Enako velja za protokole, ki sploh niso IP, in za okvire proizvajalca, ki tečejo neposredno po Ethernetu. Teh ni mogoče usmerjati z nobeno konfiguracijo, zato dodajanje poti in pravil požarnega zidu težavi z odkrivanjem pogosto ne spremeni ničesar.

Bodite pozorni, kaj v tem stanju še deluje. Ping na znan naslov in povezava unicast na znana vrata običajno uspeta, ker sta to dela, za katera je bil tunel zgrajen. Ta kombinacija, dosegljiva po naslovu, a nevidna za odkrivanje, je znak manjkajoče domene oddajanja in ne pokvarjenega omrežja.

Poimenujte odvisnost, preden izberete prenos

Preberite dokumentacijo orodja o tem, kako najde naprave in kako govori z njimi, nato to primerjajte s to tabelo.

Če je vsaka zahteva v vašem primeru v prvi vrstici, se ustavite tukaj in popravite usmerjanje. To je cenejša in veliko lažje pregledna sprememba kot kakršno koli delo s topologijo, in ohrani sejo vzdrževanja znotraj dostopne poti, ki jo je naročnik že odobril.

Odkrivanje multicast sedi na neprijetni sredini. Odsevnik ali ponavljalnik lahko del tega posreduje med podomrežji, kar gumb zažene in tiho razširi, do česar lahko seže oddaljena stran. Obravnavajte to kot namerno zasnovo z lastnikom, ne kot koristno potrditveno polje.

Na segment postavite upravljani gostitelj in se povežite z njim

Vzorec, ki prestane revizijo, ni bleščeč. Delovna postaja za inženiring, ki jo je odobril naročnik, je priključena na segment vzdrževanja stroja, tehnik pa se na to postajo poveže prek odobrenega kanala za oddaljeni dostop. Orodje teče tam, kjer je kabel; človek dela od tam, kjer je.

Takrat nič iz tehnikovega domačega omrežja ne postane del Ethernet stroja in med dvema lokacijama, ki se nikoli nista strinjali deliti domene okvar, se ne zgradi most.

Držite lokalno domeno tako majhno, kot delo dopušča. En VLAN vzdrževanja z enim upravljanim gostiteljem ima omejen obseg oddajanja, omejeno domeno zank in okvaro, ki ostane v obratu, namesto da bi se ob treh zjutraj širila po povezavi WAN.

Temu gostitelju dajte eno nalogo, lastnika in revizijsko sled

Poimenujte lastnika, navedite dovoljeno programsko opremo, določite, kako se popravlja, in zabeležite, kateri uporabniki lahko dostopajo do njega. Delovne datoteke in poverilnice držite vezane na pravega naročnika, ker je skupni inženirski prenosnik, ki je obiskal šest lokacij, problem meje podatkov, ki čaka, da ga odkrijejo.

Nato poglejte kanale, ki jih ljudje pozabijo. Sinhronizacija odložišča, prenos datotek, preslikani pogoni in souporaba vmesnika vsi premikajo podatke čez mejo, seja oddaljenega prikaza pa nič od tega ne naredi brezplačno. Odločite se o vsakem izrecno za to delo, namesto da podedujete, kar odjemalec počne privzeto. V to odločitev sodi tudi naročnikovo okno sprememb, saj dosegljivost ni isto kot dovoljenje za ukrepanje.

Kar zadeva politični okvir, dokument NIST SP 800-82r3 obravnava oddaljeno vzdrževanje kot nadzorovan dostop do operacijskega sistema, kjer se povezljivost in posledice za opremo obravnavajo skupaj.

Razširitev L2 obravnavajte kot samostojno zasnovo

Če kdo še vedno želi raztegnjen Ethernet, to obravnavajte kot ločen projekt z lastnimi tveganji. Vprašajte, kako izgleda združena domena oddajanja in vpetega drevesa, kako se upravlja naslavljanje med dvema organizacijama, kaj se zgodi, ko ena stran zaide v zanko, in kdo odobri spremembe na vsakem koncu. Uspešen laboratorijski test ne odgovori na nobeno od teh vprašanj in zagotovo ne potrdi združljivosti naprav, prepustnosti ali obnovitve po okvari povezave.

Sprejmite vzorec lokalnega gostitelja tako, da dokažete tri stvari: orodje izvede operacijo, za katero obstaja, oddaljeni uporabnik je pooblaščen za to delo in zavrnjeni sistemi ostanejo nedosegljivi s tega gostitelja. Nato prekličite začasni dostop ob dogovorjenem koncu dela in potrdite, da ga ni več.

To naročniku pusti nadzorovan prostor za lokalno vzdrževanje, kar je manjša obljuba kot združeno omrežje in veliko lažje izpolnjiva.